Троян удаленного доступа заразил компьютеры с Windows в более чем 160 странах, следует из исследования Group-IB.
В отчете говорится, что Millenium RAT превратился в массовый инструмент для кражи данных: специалисты выявили 62 тысячи 289 зараженных устройств по всему миру.
По данным Group-IB, пик распространения пришелся на первый квартал 2026 года — за три месяца Millenium RAT скомпрометировал 39 тысяч 730 устройств. Аналитики связывают кампанию с кластером Y2K Operators, который распространяет вредоносные файлы через социальную инженерию, маскируя их под архивы, генераторы, взломанные программы, игровые утилиты и поддельные документы.
Отмечается, что Millenium RAT распространяется по модели «вредоносное ПО как услуга». Его разработчик под псевдонимом ShinyEnigma рекламирует троян на подпольных форумах, собственном сайте и легальных площадках для разработчиков.
После запуска троян загружает встроенную конфигурацию, расшифровывает её и подключается к Telegram Bot API для получения команд.
Вредоносная программа способна похищать данные браузеров, историю посещений, cookie, пароли, информацию о криптокошельках, файлы с рабочего стола, данные Telegram и Discord, делать снимки экрана, записывать звук, включать веб-камеру, вести кейлоггинг, запускать PowerShell и командную строку, загружать дополнительные файлы и удаленно управлять зараженным устройством.
Для маскировки операторы используют названия файлов, имитирующие утилиты для взлома, генераторы подарочных карт, инструменты для Roblox, кряки и OSINT-программы. После заражения вредоносное ПО переименовывается в svchost.exe, MsEdgeUpdate.exe, setup.exe, update1.exe или Microsoft Antivirus.exe, чтобы затеряться среди легитимных процессов Windows.
